Wirksames Risiko-Management steigert IT-Leistungen

Erstens gilt es, die IT-Risiken zu identifizieren, zum Beispiel durch Meldungen der Mitarbeiter, die sie in strukturierten Templates erfassen. Auch in einem Workshop lassen sich Risiken ermitteln. Dabei bietet sich als Strukturierungshilfe ein Risikobaum an, der mögliche Risiken anhand der IT-Wertschöpfung des Unternehmens abbildet.

Zweitens werden die identifizierten IT-Risiken bewertet. Zunächst schätzt der Risikomelder, mit welcher Wahrscheinlichkeit das Risiko eintritt. Dann wird ermittelt, welches Ausmaß das Risiko in Bezug auf Funktion, Zeit und Ressourcen hat. Es empfiehlt sich, bei IT-Risiken mit einer Kennzahl zu arbeiten, Finanz- oder Marktrisiken dagegen absolut zu bewerten, beispielsweise in Euro.

Die Risikokennzahl ergibt sich aus der Kombination von Eintrittswahrscheinlichkeit und Risikoausmaß. Je größer die Kennzahl, desto größer die Wahrscheinlichkeit des Eintritts bzw. des Schadensausmaßes. Die Kennzahl erlaubt es, IT-Risiken in einer Risikomatrix nach Handlungsbedarf zu klassifizieren. Liegt die Kennzahl hoch, sind Gegenmaßnahmen dringend geboten.

Drittens gilt es, Maßnahmen einzuleiten, die den Risiken entgegenwirken. Bei IT-Projekten zählt dazu beispielsweise die Anpassung von Zielen, Plänen oder Ressourcen. Ist dieses Potenzial ausgeschöpft, können Risiken auch auf Dritte verlagert werden, etwa durch OutsourcingOutsourcing oder die Vereinbarung von Schadensersatz bei Nichterfüllung von Dienstleistungen durch Dritte. Übrig bleibt ein Restrisiko, das versichert oder vom Unternehmen getragen werden muss. Alles zu Outsourcing auf CIO.de

Diese Maßnahmen können nur greifen, wenn ein Umsetzungsverantwortlicher benannt ist und verbindliche, zeitnahe Termine festgelegt werden. Zudem ist konsequentes Maßnahmen-Management erforderlich, um den Stand der Umsetzung laufend zu prüfen und bei drohendem Terminverzug erforderlichenfalls den CIO einzuschalten.